Регистрация03.05 // Критическая уязвимость в TorBrowser раскрывает запросы пользователей
Torproject уведомляет своих пользователей об обнаружении критической уязвимости в TorBrowser.
В текущей версии программы обращение к сайтам, использующим технологию веб-сокетов, приводит к срабатыванию кода в браузере Firefox, обходящего настройки тор-DNS. Из-за этого DNS-запросы идут в соответствии с настройками на компьютере пользователя, имена просматриваемых им сайтов становятся видны его провайдеру, используемому им DNS-серверу и любому промежуточному узлу сети между ними, способному прослушивать нешифрованные соединения.
До выхода исправленной версии TorBrowser предлагается предлагалось временное решение:
- Набрать about:config в адресной строке браузера. Нажать Enter.
- Набрать websocket в поисковом окне.
- Двойным щелчком изменить состояние поля network.websocket.enabled. После этого оно должно показывать false в столбце Value.
В настоящее время доступна обновлённая версия, в которой данная уязвимость исправлена.
Источник: TorProject blog
Да, даже useragent еще от 5-ой версии firefox:
Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko/20100101 Firefox/5.0
Сейчас все торбыдлосообщество серфит по сайтам со старым агентом и натыкается на рекламные советы, по обновлению браузера до актуальной 12-ой версии :-)
Хорошо задвинул. Внушаить.
Вы можете задать там вопрос почему они не переходят на Firefox 10 LTS? Очень уж любопытно.
комментариев: 254 документов: 9 редакций: 753
А что тогда не быдло? i2p с такой черепашьей скоростью, что можно только на форумах сидеть, читать новости и книги (и то не во всех форматах, бывает до 100 мб дотягивает)? Или купленные анонимно сервера настроенные подобно Tor от хозяев которых никаких обязательств не дождешься (даже, если без ведома их хозяев подсадить что-нибудь, все равно есть вероятность раскрытия)?
комментариев: 9796 документов: 488 редакций: 5664
Поле со старой версией юзерагента — это тяжёлое историческое наследие.
Маскировка под наиболее массовую версию файрфокса была когда использовался TorButton, который ставился отдельно поверх любого FF. Самой масовой версией была слегка устаревшая. Маскировка по юзерагенту слегка смешивала пользователей FF, заторенного без TB (через privoxy) и с TB. Кроме того, не было стартовой страницы торпроджекта, какие-то пользователи огороженных государств могли получать TB на контрабандной флэшке и пользоваться старой версией, тормозя с обновлением.
Теперь, когда TorBrowser общий, подгонка юзерагента подо что-то конкретное действительно утратила смысл. Можно было бы хоть "TorBrowser" в нём так и отображать — все ведь выходят из одной tor-сети, что видно любому сайту, главное чтобы сайты отображались.
Не исключены ошибки при работе с быдло сайтами, где быдло программеры не смогли написать парсер под такой номер фирефокса, ну так вы туда не ходите. И еще будут недовольны пользователи пришивающие прокси на выходе, вот только обошли бан и бац вторая серия.
Надо на багтракере поискать по этому делу. Вот к примеру гости только обсуждают Firefox 10 LTS, и (сюрприз!) такой баг-запрос уже существовал до их вопросов. Может и про юзер-агент что-то есть, уже. Если нет, то создать новый запрос.